DIRECTION DES CENTRALES NUCLEAIRES 
Montrouge, le 8 août 2014 Réf. : CODEP-DCN-2014-037194 Monsieur le Directeur de la Direction Production Ingénierie EDF 
Site Cap Ampère - 1 place Pleyel 93 282 SAINT-DENIS CEDEX
Objet : Gestion du déploiement et des évolutions du Système d'Information du Nucléaire Management des compétences au sein de la structure « Programme SDIN » 
 Contrôle du respect des règles générales en matière de sûreté nucléaire Référence à rappeler : INSSN-DCN-2014-0659 Réf. : [1] Code de l'environnement, notamment ses articles L. 592-21 et L. 596-1 
[2] Lettre CODEP-DCN-2014-022210 du 12 mai 2014 
[3] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base 
[4] Lettre ASN CODEP-DCN-2012-044188 du 27 novembre 2012 
[5] Lettre EDF/D4008.10.11.13/0441 du 2 mai 2013 
[6] Lettre ASN CODEP-DCN-2013-065321 du 29 janvier 2014 
[7] Lettre EDF/D4008.10.11.14/0141 du 13 mars 2014 
[8] Norme EN-ISO 13407 relative au processus de conception centré sur l'opérateur humain pour les systèmes interactifs 
[9] Normes EN-ISO-9241 relatives aux exigences ergonomiques pour travail avec terminaux à écrans de visualisation 

## Monsieur Le Directeur,

Dans le cadre de ses attributions en matière de contrôle du respect des règles générales et des prescriptions particulières en matière de sûreté nucléaire et de radioprotection mentionnées au code de l'environnement, l'Autorité de sûreté nucléaire (ASN) a procédé, le 24 juin dernier, au contrôle sur le site EDF de Chatou, des activités conduites par la structure en charge du développement et de la maintenance du Système d'Information du Nucléaire (SdIN ) ainsi qu'au contrôle du management des compétences au sein de cette structure. Dans le présent courrier, cette structure est appelée 
« Programme SdIN ». Ce contrôle a été annoncé par le courrier en référence [2]. 

Le SdIN est un système d'information structurant pour les organisations et les activités exercées par les CNPE et par les différents centres d'ingénierie. Il constitue un système support à l'accomplissement des activités importantes pour la protection des intérêts, au sens de l'arrêté en référence [3], dans la mesure où son utilisation contraint le séquencement des actions attachées à ces activités et qu'il est utilisé pour gérer la documentation et la traçabilité de leur accomplissement dans le respect des dispositions prescrites à l'article 2.5.6 de l'arrêté précité. 

Lors de leur contrôle, les inspecteurs de la sûreté nucléaire se sont attachés à vérifier si le système de management intégré, requis notamment par le chapitre IV du titre II de ce même arrêté, décrivait les dispositions que vous avez présentées dans les courriers en références [5] et [7], en réponse aux lettres de l'ASN en références [4] et [6]. Les inspecteurs ont contrôlé en particulier la descriptions et la mise en œuvre effectives des dispositions techniques et organisationnelles requises pour le déploiement et la gestion des modifications du SdIN. Le contrôle a notamment porté sur les modalités de prise en compte des signalements issus des acteurs du terrains révélant un dysfonctionnement du SdIN ou en suggérant une amélioration, le processus d'analyse des causes de ces dysfonctionnements et le processus de conception et de vérification des solutions apportées. 

Par ailleurs, le contrôle a porté sur l'organisation retenue par le « programme SDIN » pour disposer des compétences nécessaires et suffisantes à la réalisation de ses activités, ainsi que sur l'efficience de la gestion prévisionnelle des emplois et des compétences (GPEC). 

L'inspection a notamment mis en exergue le nombre important de sollicitations du 
« programme SdIN » par les utilisateurs « du terrain » et le fort besoin d'accompagnement des CNPE. Elle a aussi révélé que les évolutions du SdIN d'une version à l'autre peuvent relaxer les exigences associées à l'exécution d'activités importantes pour la protection sans que le processus de recette de ces évolutions ne permette l'identification de ces régressions. En outre, l'engagement du déploiement du SdIN sur la base d'une version que les inspecteurs jugent non stabilisée accroit significativement la charge des équipes du « programme SdIN » du fait de sollicitations multiples pour une même anomalie. Si les inspecteurs ont noté l'existence de règles de gestion des priorités, celles-ci ne sont que très partiellement décrites et leur application repose majoritairement sur les individus. 

L'inspection a par ailleurs révélé une forte implication de l'équipe en charge de la gestion des emplois et des compétences du « programme SDIN ». Malgré des difficultés évoquées lors de l'inspection concernant l'anticipation des besoins futurs en termes de compétences du fait du glissement du planning de déploiement du SdIN, les inspecteurs ont noté que cette structure a une vision claire des effectifs et des niveaux de compétence requis et existants pour assurer ses missions. Ainsi, les inspecteurs ont constaté que la GPEC effectuée par le « programme SDIN » a mis en exergue la forte inadéquation entre les besoins en termes d'effectifs et de niveaux de compétences, et les effectifs et les niveaux de compétences actuels et prévus pour les deux ans à venir. 

Vous trouverez en annexe, les demandes et observations qui résultent de ce contrôle. Les constats mentionnés ci-après nécessitent des actions correctives de votre part dans le contexte actuel de déploiement généralisé du SdIN car ils présentent un risque de régression dans la maîtrise des processus mis en œuvre sur les CNPE pour l'accomplissement des activités importantes pour la protection. L'ASN retient notamment que : 
- l'effectif et le niveau de compétences au sein du « programme SdIN » sont nettement inférieurs aux cibles d'effectifs et de niveaux de compétences prévus, alors même que le déploiement généralisé du SdIN accroit de manière significative l'activité de la structure en charge du développement de cet outil ; 
- le processus de gestion des modifications apportées au SdIN présenté sommairement dans la fiche n° 6 annexée à votre courrier en référence [5] n'est pas décrit, alors que cet outil a déjà connu trois évolutions de version depuis l'engagement de son déploiement généralisé dont certaines corrigent les effets d'une application limitée du principe de « conception centrée utilisateurs » ; 
- le processus de traitement des anomalies et des évolutions du SdIN demandées par les entités utilisatrices laisse encore apparaitre des défaillances à l'origine de régression qui imposent la mise en œuvre de mesures compensatoires pour ne pas compromettre la réalisation d'activités importantes pour la protection, telles que la gestion des écarts affectant les éléments importants pour la protection ; 
- les processus et les organisations afférentes mises en place pour accompagner le déploiement généralisé du SdIN ne sont pas encore formellement décrits dans le système de management intégré, alors que leurs principes et leur fonctionnement ont fait l'objet de la fiche n° 4 annexée à votre courrier en référence [5]. 

Vous voudrez bien me faire part de vos observations et réponses concernant les points mentionnés en annexe dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. 

Je vous prie d'agréer, Monsieur le Directeur, l'expression de ma considération distinguée. 

Le directeur général adjoint, 

## Signé Par : Jean-Luc Lachaume A. Demandes D'Actions Correctives

 A.1. Effectifs et niveaux de compétences au sein de la structure « programme SdIN » 
Le « programme SdIN » mobilise des ressources internes à EDF et s'appuie largement sur celles d'intervenants extérieurs. Concernant les ressources internes à EDF le « programme SdIN » n'emploie que des personnes salariées d'EDF, notamment sur des contrats de détachement pour les personnes venant de la Division Production Nucléaire (DPN) ou la Division Ingénierie Nucléaire (DIN). Dans une moindre proportion, le « programme SdIN » embauche avec la DPN ou la DIN des jeunes cadres. Les durées de détachement au sein du programme sont de trois ans minimum. Pour l'année 2014, le « programme SdIN » a évalué ses besoins en compétences à environ 80 cadres expérimentés, dont 52 personnes détachées de la DPN et 10 de la DIN. L'effectif total du « programme SdIN » au 28 février 2014 était de 61 personnes, dont 38 emplois occupés par des personnes détachées de la DPN et 7 de la DIN. Étaient ainsi vacants : 
� 27% des emplois devant être occupés par des personnes détachées de la DPN. Parmi ces emplois vacants, le « programme SdIN » en a identifié 11 comme prioritaires associé à un niveau de compétence élevé. 

� 13% des emplois devant être occupés par des personnes détachées de la DIN. 
Des départs non remplacés sont d'ores et déjà identifiés par le « programme SdIN » entre les années 2014 et 2016. 23 départs de personnes détachées de la DPN sont prévus et leur remplacement n'est pas acquis. Une chute de l'effectif du « programme SdIN », par ailleurs déjà en sous-effectif, est donc à redouter pour 2016. L'ASN constate que la GPEC effectuée par la structure « programme SDIN » met en exergue une forte inadéquation entre les besoins identifiés en termes d'effectifs et de niveaux de compétences, et ceux actuels et prévus pour les deux ans à venir. 

Compte tenu des difficultés relevées et présentées ci-après et considérant que le respect des effectifs et compétences mentionnés dans votre GPEC permet au « programme SdIN » de disposer des effectifs et des compétences nécessaires à la réalisation de ses activités, l'ASN vous demande de pourvoir : 
� sous six mois, les 11 postes vacants identifiés comme prioritaires ; 
� sous un an, tous les autres postes vacants. 

Vous porterez en priorité vos efforts sur les 41 emplois spécifiques à la DPN qui seront à pourvoir au sein du « programme SdIN » entre 2014 et 2016.

## A.2. Gestion Des Évolutions Du Sdin A.2.1 Processus De Gestion Des Évolutions Du Sdin

Le SdIN est un outil dont les évolutions sont susceptibles d'avoir une incidence sur les intérêts mentionnés à l'article L. 593-1 du code de l'environnement dans les unités utilisatrices puisque son utilisation contraint l'organisation des activités importantes pour la protection (AIP) au sens de l'arrêté en référence [3]. Ainsi, en raison de l'impact possible des évolutions envisagées du SdIN sur les organisations et les activités de travail liées à l'exécution des AIP, le processus de gestion des évolutions du SdIN devrait être couvert par le système de management intégré mis en œuvre par EDF, en application des dispositions du chapitre IV du titre II de l'arrêté précité. Les inspecteurs ont constaté l'absence de formalisation d'un tel processus et ont noté que le processus générique mis en place par EDF pour encadrer les activités de l'ingénierie opérationnelle du parc nucléaire (IOP) ne constitue pas un référentiel de substitution susceptible d'être pleinement applicable aux activités exercées par le 
« programme SDIN ». Dans les faits, les inspecteurs ont néanmoins noté l'application variable, largement dépendante des individus, des principes de gestion décrits dans la fiche n°6 annexée à votre courrier en référence [5]. En outre, la mise en œuvre du SdIN sur les CNPE de Blayais, Tricastin, Dampierre, Paluel et au CIPN engendre un accroissement significatif des remontées « terrain » concernant des dysfonctionnements ou des difficultés d'utilisation du SdIN. Elle a pour conséquence une saturation de la structure nationale en charge du développement du SdIN et nécessite des arbitrages récurrents en matière d'affectation des ressources pour assurer simultanément les tâches de développement du SdIN et celles d'accompagnement de la version déployée, ceci dans un contexte d'insuffisance des effectifs et des niveaux de compétences au sein du « programme SdIN ». Dans ces conditions, les décisions prises par la structure nationale au sein de la DPN, en charge du suivi du déploiement des grands projets, prend une importance toute particulière puisqu'elle est amenée à statuer sur la maturité d'une unité utilisatrice à assumer la charge que représente la mise en œuvre du SdIN au niveau local. A la suite du retour d'expérience du déploiement sur le site pilote du Blayais et dans l'objectif de limiter les remontées « terrain » aux seules situations révélatrices d'un dysfonctionnement intrinsèque du SdIN tout en s'affranchissant des situations engendrées par une mauvaise utilisation de l'outil, une validation préalable de ces remontées par le pilote de l'unité utilisatrice en charge localement du suivi de la mise en œuvre du SdIN a été retenue. Elle a toutefois eu pour conséquence un éloignement encore plus important des utilisateurs « terrain » de ces unités susceptible de remettre en cause l'application du principe de conception des évolutions du SdIN « centrée sur l'utilisateur ». Afin d'en limiter les effets et à la demande des CNPE, vous avez mis en place le comité « COUSIN » qui rassemble les représentants des unités utilisatrices du SdIN. Cette instance est un lieu de partage d'expérience qui se tient tous les quinze jours, avec parfois en plus la tenue de comités thématiques. Les inspecteurs ont constaté que les demandes formulées au sein de ces comités ne sont prises en compte qu'après validation du pôle métiers du « programme SdIN ». Une fois la validation par le pôle métier du « programme SdIN » du bien fondé de la demande des sites effectué, les arbitrages se font en Comité de Gouvernance de la Solution (CGS). Il est à noter que lorsqu'une demande d'évolution du SdIN ne fait pas consensus auprès des quatre unités utilisatrices du SdIN, la demande n'est pas prise en compte par les chefs de projet métier du « programme SdIN ». 

La démarche finalement mise en œuvre par le « programme SdIN » réduit significativement les effets attendus de l'application du principe de « conception centrée utilisateurs », que vous avez détaillée dans le courrier en référence [5], en réponse au courrier de l'ASN [4] qui rappelait que les méthodes de conception du SdIN devaient garantir son utilité et son utilisabilité de manière compatible avec les exigences en matière de sûreté des installations et de sécurité des travailleurs. Vous avez, de plus, indiqué dans le courrier en référence [5] que la conception du SDIN s'était appuyée sur un référentiel ergonomique de conception des interfaces homme-machine (IHM) pour les applications peu dépendantes de l'environnement de travail des utilisateurs. Ce référentiel précise que la prise en compte de ses exigences ne se substitue pas à la connaissance du travail des utilisateurs, mais est complémentaire, étant entendu que les spécifications ergonomiques proposées ont pour objectif « d'adapter l'outil aux utilisateurs afin que cet outil réponde à des exigences d'utilité et d'utilisabilité ». Les modifications envisagées du SdIN pouvant avoir un impact sur les organisations et les activités de travail liées à l'exécution des AIP, l'ASN vous demande de concevoir et décrire le processus de gestion des évolutions du SdIN, quel que soit l'initiateur de cette évolution 
(utilisateur, développeur,…). Vous veillerez notamment à ce que ce processus décline les principes de « conception centrée utilisateur » en accord avec les principes de conception centrée sur l'utilisateur portés par les référentiels normatifs en références [8] et [9] et précise son articulation éventuelle avec le processus IOP et ses interfaces avec le système de management intégré mis en œuvre par EDF. A.2.2. Évaluation de l'importance des anomalies et demandes présentées par les utilisateurs du SdIN Par courrier en référence [5], vous avez transmis à l'ASN les règles de gestion des modifications et évolutions du SDIN après son déploiement. Celles-ci précisent que le « programme SdIN » instruit toutes les déclarations d'anomalies et demandes d'évolution en fonction de leur nature. Lors de l'inspection, vos représentants ont précisé que toutes les remontées « terrains » issues des CNPE et des centres d'ingénierie utilisateurs du SDIN sont capitalisées et prises en compte selon leur degré d'importance. Les modalités d'évaluation de ce degré d'importance et les critères associés ne sont toutefois pas décrits. De plus, la contribution attendue de la « mission sûreté » intégrée au « programme SdIN » et les modalités de prise en compte de cette contribution dans le processus de hiérarchisation et de planification des modifications du SdIN ne sont pas spécifiées. En outre, le modèle de fiche présenté pour tracer les évolutions proposées ne comporte pas de mention de l'évaluation de l'impact possible de cette évolution sur les activités importantes pour la protection. Les modalités mises en œuvre par EDF pour hiérarchiser les déclarations d'anomalies et demandes d'évolutions du SdIN ne sont pas décrites alors que celui-ci est utilisé depuis mi2012 au sein de plusieurs unités. L'ASN vous demande de définir les règles de « pesage » des déclarations et demandes précitées et d'expliciter le rôle attendu de la mission « sûreté » et ses responsabilités en matière de hiérarchisation. Plus largement, vous veillerez à identifier les acteurs dont l'intervention garantit la prise en compte de l'ensemble des intérêts mentionnés à l'article L. 593-1 du code de l'environnement lors du traitement des déclarations et demandes précitées. 

## A.2.3 Recette Des Évolutions

La note d'organisation référencée SdIN/DIRP/190/NOT/13-00121-001 relative au pôle Métiers et Déploiement Généralisé Exploitation décrit les rôles et missions des acteurs de ce pôle. Elle décrit notamment les activités liées à l'amélioration des performances du SdIN, à partir de la version 1.3. Les inspecteurs ont examiné le compte-rendu des recettes des modifications portées par la version 1.6 du SdIN. Les scenarii de recette fonctionnelle sont rassemblés dans l'outil de suivi « Quality Center ». Ces scenarii sont préparés par les acteurs métiers des unités utilisatrices ou du « programme SdIN ». Leur exécution est suivie par ces mêmes acteurs, en complément des recettes réalisées par vos prestataires informaticiens. Pour autant, les inspecteurs ont constaté que les processus de construction et de validation de ces scénarii et des hypothèses utilisées pour leur exécution ne décrivent pas les modalités de prise en compte des spécificités des unités utilisatrices. La garantie d'absence de régression dans les unités utilisatrices lors du déploiement d'une nouvelle version ne peut donc pas être assurée. En outre, la contribution de la « mission sûreté » dans ces processus n'est pas identifiée et les exigences associées ne sont pas spécifiées. L'ASN vous demande de clarifier et de formaliser le processus mis en œuvre pour la conception, la réalisation et la validation des scenarii de recette fonctionnelle des évolutions de SdIN afin de garantir que l'ensemble des spécificités techniques et organisationnelles des unités utilisatrices sont prises en compte a priori. 

Considérant qu'une partie des activités d'élaboration et de réalisation des essais requis est prise en charge par des intervenants extérieurs, vous veillerez à identifier, dans le processus précité, les modalités de surveillance de ces intervenants extérieurs si ces dernières ne sont pas spécifiées par ailleurs. 

## A.2.4 Gestion Des Écarts Aux Exigences Fonctionnelles Du Sdin

Les inspecteurs ont constaté la présence d'écarts aux objectifs associés à l'exécution de recettes fonctionnelles. Vos représentants ont signalé que les anomalies résiduelles identifiées lors de ces recettes sont systématiquement versées dans le lot des anomalies à corriger par la version suivante. Cette gestion de ces écarts n'est pas décrite. En outre, les choix initiaux de conception du SdIN du fait du recours à des progiciels standards rendent potentiellement la résorption des écarts dépendante des décisions prises par les éditeurs de ces progiciels dont EDF n'est pas le seul client. L'ASN vous demande de définir les règles de gestion des écarts aux exigences fonctionnelles d'une nouvelle version du SdIN, en particulier celles relatives aux écarts impliquant les éditeurs des progiciels fondamentaux du SdIN. Vous veillerez à prendre en considération l'interface possible entre ces règles et celles spécifiées dans la directive EDF DI-55 relative au traitement des écarts, lorsque ceux-ci ont potentiellement une conséquence sur la qualité de l'accomplissement d'une AIP dans les unités utilisatrices. 

## A.3 Comité De Gouvernance De La Solution Du Sdin A.3.1 Informations Mobilisées Par Le Comité De Gouvernance

La note d'organisation référencée SDIN/DORP/120/NOT/13-00110 relative au Comité de Gouvernance de la Solution (CGS) du SdIN décrit le fonctionnement de ce comité qui est l'instance de décision, de suivi et de pilotage des sujets fonctionnels et techniques du « programme SdIN » et qui a notamment pour mission de « valider la mise en œuvre d'une évolution et/ou la correction d'anomalie au sein du SdIN en garantissant l'intégrité de la solution et la cohérence entre les différents composants». Les inspecteurs ont noté que le passage à la version 1.4 du SdIN est à l'origine d'une régression par rapport à la version 1.3 jugée stabilisée par EDF et déployée sur les sites. La version 1.4 permet en effet la modification du statut des actions attachées à la résorption d'un écart affectant un élément important pour la protection à des utilisateurs qui n'ont pas les habilitations requises. Cette régression de la version 1.4 par rapport à la version 1.3 du SdIN met en défaut l'efficacité de la vérification opérée par le CGS avant le déploiement de la version modifiée, ce qui peut s'expliquer par l'insuffisance des informations qui lui sont communiquées pour pouvoir statuer sur l'opportunité de déployer la version modifiée. Compte tenu de ces éléments, l'ASN vous demande d'apporter les modifications nécessaires aux modalités de fonctionnement du CGS pour lui permettre de valider ou d'invalider la mise en œuvre d'une évolution ou la correction d'une anomalie au sein du SdIN, à travers la mise à disposition d'informations sur les résultats des essais attestant de la non-régression d'une version du SDIN soumis à sa validation. Vous veillerez à préciser dans ce cadre les modalités de prise en compte des informations produites par la mission « sûreté ». Vous modifierez, le cas échéant, la note SDIN/DORP/120/NOT/13-00110 en conséquence. 

## A.3.2 Suivi Des Actions Décidées En Cgs

La note mentionnée au point A.3.1 ci-dessus précise que les actions décidées en CGS sont affectées puis tracées dans un fichier de suivi. Pour autant, cette note ne précise pas les responsabilités du CGS en matière de contrôle de l'accomplissement des actions qu'il a commanditées ni les modalités qu'il met en œuvre pour vérifier a posteriori leur réalisation selon les exigences qu'il a formulées. L'ASN vous demande de préciser les rôles et responsabilités du CGS dans le pilotage et le contrôle de l'accomplissement des actions qu'il a commanditées et, le cas échéant, de modifier la note SDIN/DORP/120/NOT/13-00110 en conséquence. 